RODO – krok pierwszy: analiza

Pierwszym krokiem do dostosowania firmy do wymogów RODO jest analiza sposobu przetwarzania danych osobowych. W praktyce oznacza to zinwentaryzowanie danych i procesów ich przetwarzania, ustalenie podstaw prawnych oraz ocenę ryzyka związanego z przetwarzaniem danych. Dopiero na podstawie takiej analizy można prawidłowo zaplanować kolejne działania, w tym przygotowanie dokumentacji i wdrożenie odpowiednich środków ochrony danych.

Na czym polega analiza RODO w przedsiębiorstwie?

Analiza RODO obejmuje przede wszystkim identyfikację przetwarzanych danych osobowych, ustalenie procesów i narzędzi wykorzystywanych do ich przetwarzania, określenie podstaw prawnych oraz ocenę ryzyka. Jest to etap, który pozwala przedsiębiorcy ustalić, jakie działania powinien podjąć w celu prawidłowego zabezpieczenia danych osobowych.

Jak przeprowadzić inwentaryzację danych osobowych zgodnie z RODO?

W ramach kroku pierwszego każdy przedsiębiorca musi odpowiedzieć sobie na pytanie, czy przetwarza dane osobowe? Należy w pierwszej kolejności ustalić wszystkie procesy, w których każda firma przetwarzana dane osobowe osób fizycznych oraz przedsiębiorców prowadzących działalność gospodarczą w formie jednoosobowej działalności gospodarczej.

Zapewne większość z przedsiębiorców przetwarza dane osobowe w przynajmniej w jednej ze wskazanych poniżej sytuacji:

• zatrudniania pracowników,
• zbierania danych klientów do zamówień,
• zbierania danych kontaktowych/ klientów w celach marketingowych,
• tworzenia bazy danych dostawców surowców,
• zamieszczania zdjęć klientów i pracowników na fanpage firmy,
• monitoringu terenu firmy,
• identyfikowania za pomocą systemu GPS położenia samochodu firmowego (i pracownika).

Podana wyżej lista nie ma w żadnym wypadku charakteru zamkniętego a jedynie przykładowy. Wszędzie tam, gdzie są m.in. zbierane, utrwalane, organizowane, porządkowane, przechowywane, pobierane, przeglądane, wykorzystywane, ujawniane lub niszczone (tak niszczone także) dane osobowe dochodzi do procesu przetwarzania danych osobowych. Najłatwiej będzie zinwentaryzować posiadane zasoby danych osobowych poprzez podzielenie konkretnych osób fizycznych wedle łączącego je z przedsiębiorstwem stosunku prawnego lub faktycznego. W ten sposób zapewne każdemu przedsiębiorcy uda się ustalić, że przetwarza dane osobowe swoich pracowników, klientów i kontrahentów. Procesy przetwarzanie danych osobowych powinny być takie same dla każdej z powyżej wymienionych grup. I tak np. dane osobowe pracowników przedsiębiorcy przetwarzają w procesie zatrudniania, dokonywania rozliczeń z tytułu pracy w US  i ZUS, a także czasem w związku ze świadczeniami socjalnymi (np. dofinansowanie urlopu).

Gdy już zostaną ustalone procesy przetwarzania danych osobowych w przedsiębiorstwie, to w dalszej kolejności należy ustalić, za pomocą jakich narzędzi technicznych te dane są przetwarzane. Poprzez narzędzia służące do przetwarzania danych osobowych należy rozumieć wszystko to, co służy fizycznie do dokonywania czynności na posiadanych przez nas zbiorach danych. Jak przykład procesów przetwarzania danych osobowych przy użyciu różnych narzędzi można podać przykład ręcznego wypisywania faktury VAT za wykonane usługi oraz wystawiania faktury użyciu specjalistycznego programu, do którego należy zalogować się za pośrednictwem strony internetowej. Identyfikacja procesów przetwarzania danych osobowych oraz narzędzi do tego wykorzystywanych pozwoli na dokonanie pełnej inwentaryzacji zasobów danych osobowych.

Jak ustalić podstawę prawną przetwarzania danych osobowych?

Po zinwentaryzowaniu posiadanych zasobów należy przystąpić do ustalenia podstawy prawnej przetwarzania posiadanych danych. Etap ten nie powinien nastręczyć wielu trudności. Zgodnie z art. 6 ust. 1. RODO Przetwarzanie jest zgodne z prawem m.in. gdy osoba, której dane dotyczą wyraziła na to zgodę, przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.

Polecam zapoznać się z całym art. 6 RODO. Dla każdego procesu przetwarzania danych osobowych w firmie musi istnieć podstawa prawna albo inaczej – prawne uzasadnienie przetwarzania. Celem wdrożenia RODO w przedsiębiorstwie należy ustalić, czy dla zidentyfikowanych w firmie operacji na danych osobowych można dopasować podstawę prawną. Dla celów przedmiotowego artykułu – czyli opisania procesu ustalenia podstaw prawnych przetwarzania – skorzystam jednie z pierwszych trzech najbardziej popularnych podstaw prawnych podam do nich przykłady.

Kiedy zgoda jest podstawą prawną przetwarzania danych osobowych?

W braku innej podstawy prawnej do przetwarzania danych osobowych konieczna jest zgoda osoby fizycznej. Zgoda nie musi być wyrażona w formie pisemnej, ale w razie kontroli odpowiedniego organu każdy przedsiębiorca musi być w stanie wykazać, że przedmiotowa zgoda została wyrażona. W efekcie sprowadza się do tego, że najłatwiej jest po prostu uzyskać zgodę w formie pisemnej.

Jeżeli firma przetwarza dane osobowe swoich klientów, a przetwarzanie to nie ma związku z żadną inną podstawą prawną wymienioną w art. 6 RODO, w tym w związku z np. wykonywanym na rzecz osoby fizycznej zleceniem to należy postarać się o uzyskanie oświadczenia osoby fizycznej o wyrażeniu zgody na przetwarzanie danych osobowych. Z podpisanego oświadczenia musi wynikać jednoznacznie, że osoba je składająca wie, na co wyraziła zgodę – w jaki sposób będą przetwarzane jej dane osobowe w konkretnym celu. Klasycznym przykładem wymagającym zgody osoby fizycznej są działania marketingowe takie jak przesyłanie newslettera czy wysyłanie firmowych kartek z życzeniami.

Czy umowa może być podstawą przetwarzania danych osobowych?

Przed datą 25 maja 2018 r. wielu przedsiębiorców zastanawiało się, czy po wejściu RODO będą mogli prosić klientów o podanie imienia i nazwiska.  Przedsiębiorca ma prawo zebrać od klienta te dane osobowe, które są mu niezbędne do wykonania zawartej z klientem umowy. Na marginesie dodam tylko, że umowa ta oczywiście nie musi być pisemna. Ale uwaga! Niezgodne z prawem będzie wykorzystywanie zebranych od klienta danych osobowych do celów innych niż wykonanie przedmiotowej umowy jeżeli nie wyraził na to odrębnej zgody. Umowa nie usprawiedliwia także zbierania od klienta tych danych osobowych, które w żaden sposób do wykonania z nim umowy nie posłużą.

Kiedy obowiązek prawny pozwala na przetwarzanie danych osobowych?

Część procesów przetwarzania danych w przedsiębiorstwie znajdzie swoją legitymację w ciążącym na administratorze obowiązku prawnym. To oznacza, że przedsiębiorca ma prawo przetwarzać dane osobowe bez zgody osoby fizycznej i w braku łączącej stron umowy jeżeli jest w stanie wykazać, iż przetwarzając dane osobowe, realizuje ciążący na nim obowiązek prawny. Przykładem takiego działania może być monitoring wizyjny w pomieszczeniach przedsiębiorstwa służący zapewnieniu bezpiecznych i higienicznych warunków pracy dla pracowników jak również instalowanie w samochodach służbowych lokalizatorów GPS. Obowiązek ten wynika wprost z przepisów prawa pracy. Należałoby jedynie w tym miejscu zwrócić uwagę, że wskazane w tym akapicie działania wymagają dopełnienia także obowiązku informacyjnego czyli poinformowania osób zainteresowanych o prowadzonych działaniach i celach, jakimi służą.

Dlaczego analiza ryzyka jest ważna przy przetwarzaniu danych osobowych?

Każdy przedsiębiorca ma obowiązek wdrożenia odpowiednich środków bezpieczeństwa celem zabezpieczenia przetwarzanych danych osobowych. Szczegółowo zostanie to omówione w kolejnych krokach. Obowiązek wdrożenia odpowiednich zabezpieczeń łączy się jednakże z innym obowiązkiem przedsiębiorcy, a to określeniem poziomu ryzyka związanego  przetwarzaniem danych osobowych. Podejście oparte na ryzyku – bo to wprowadza RODO do polityki przetwarzania danych – wymaga ciągłego monitorowania poziomu ryzyka związanego z przetwarzaniem danych osobowych.

Nie jest więc wystarczającym jednorazowe dla danego procesu określenie poziomu ryzyka i zastosowanie środków zabezpieczenia danych – poziom ryzyka powinien być monitorowany ciągle w ramach trwających procesów przetwarzania danych. Oczywiście wielu przedsiębiorcom może wydawać się, iż przetwarzanie przez nich danych osobowych w zasadzie nie wiąże się z żadnym ryzykiem. Niestety nie jest to prawdą. W dobie kradzieży danych osobowych celem dokonywania innych przestępstw niezwykle ważnym elementem jest określenie ryzyka, jakie wiążę się z przetwarzaniem danych osobowych. Inny będzie poziom ryzyka utraty danych osobowych w wyniku kradzież w przypadku przedsiębiorstwa przetwarzającego dane osobowe tylko w wersji papierowej a inny w przypadku przedsiębiorstwa, które korzysta z zewnętrznych serwerów. np. ryzyka kradzieży danych lub dostępu osób nieuprawnionych.

Co zrobić po przeprowadzeniu analizy RODO?

Opisane powyżej czynności należy przeprowadzić na wstępie, bowiem są one podstawą do dalszych działań w zakresie wdrożenia RODO w przedsiębiorstwie, czyli przygotowania niezbędnej dla każdego przedsiębiorcy dokumentacji.

Jakie elementy obejmuje analiza RODO?

FAQ -najczęściej zadawane pytania o analizę RODO

Na czym polega analiza RODO w firmie?

Analiza RODO w firmie polega na ustaleniu, jakie dane osobowe są przetwarzane, w jakich procesach i za pomocą jakich narzędzi, a następnie na określeniu podstaw prawnych tego przetwarzania oraz związanych z nim ryzyk. Administrator powinien ocenić ryzyko naruszenia praw lub wolności osób, których dane dotyczą, uwzględniając charakter, zakres, kontekst i cele przetwarzania. Wyniki analizy powinny stanowić podstawę doboru odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych. Analiza RODO nie jest więc wyłącznie przygotowaniem dokumentacji, lecz procesem pozwalającym ocenić, czy sposób przetwarzania danych w organizacji jest zgodny z wymaganiami RODO.

Od czego zacząć wdrażanie RODO w przedsiębiorstwie?

Wdrażanie RODO w przedsiębiorstwie warto rozpocząć od zinwentaryzowania procesów, w których przetwarzane są dane osobowe. Należy ustalić między innymi, jakie dane są gromadzone, kogo dotyczą, w jakim celu są wykorzystywane, gdzie są przechowywane oraz kto ma do nich dostęp. Następnie trzeba określić podstawę prawną każdego procesu przetwarzania i przeprowadzić ocenę ryzyka związanego z ochroną praw i wolności osób, których dane dotyczą. Dopiero na podstawie tych ustaleń można dobrać odpowiednie środki organizacyjne i techniczne oraz zaplanować dalsze działania związane z wdrożeniem RODO.

Jak ustalić podstawę prawną przetwarzania danych osobowych?

Podstawę prawną przetwarzania danych osobowych należy ustalić odrębnie dla każdego celu i procesu przetwarzania, a nie przyjmować jedną podstawę dla całej działalności firmy. RODO przewiduje między innymi możliwość przetwarzania danych na podstawie zgody osoby, której dane dotyczą, konieczności wykonania umowy, obowiązku prawnego ciążącego na administratorze lub prawnie uzasadnionego interesu administratora, przy spełnieniu warunków określonych w art. 6 RODO. Wybór podstawy prawnej powinien wynikać z rzeczywistego celu i charakteru przetwarzania. Szczególnej ostrożności wymaga wykorzystywanie zgody – nie powinna być stosowana wtedy, gdy istnieje inna właściwa podstawa prawna, a jej warunki nie zapewniają dobrowolności.

Czy każda firma musi przeprowadzić analizę ryzyka RODO?

Każdy administrator powinien uwzględniać ryzyko naruszenia praw lub wolności osób fizycznych w związku z przetwarzaniem danych osobowych i na tej podstawie dobierać adekwatne środki ochrony. Nie oznacza to jednak, że każda firma musi sporządzić identyczny dokument lub zastosować tę samą metodę analizy ryzyka. Zakres i sposób przeprowadzenia analizy powinien odpowiadać rzeczywistym procesom przetwarzania danych, ich charakterowi, zakresowi, kontekstowi i celom. Jeżeli planowane przetwarzanie może z dużym prawdopodobieństwem powodować wysokie ryzyko dla praw lub wolności osób fizycznych, może powstać dodatkowo obowiązek przeprowadzenia oceny skutków dla ochrony danych (DPIA) na podstawie art. 35 RODO.

Co zrobić po przeprowadzeniu analizy RODO?

Po przeprowadzeniu analizy RODO należy wykorzystać jej wyniki do zaplanowania i wdrożenia odpowiednich środków technicznych i organizacyjnych, a także uporządkowania procesów przetwarzania danych osobowych. W zależności od ustaleń może to oznaczać między innymi uzupełnienie dokumentacji, zmianę procedur, ograniczenie dostępu do danych, poprawę zabezpieczeń systemów informatycznych lub przeszkolenie pracowników. Jeżeli analiza wykaże wysokie ryzyko, należy dodatkowo sprawdzić, czy w konkretnym przypadku wymagane jest przeprowadzenie oceny skutków dla ochrony danych. Analiza ryzyka nie powinna być traktowana jako czynność jednorazowa – należy ją aktualizować, gdy zmieniają się procesy, technologie, zakres przetwarzania lub poziom ryzyka.